Я был удивлен, обнаружив, что после значительных поисков конкретный вариант использования для шифрования данных практически не обсуждается в сообществе Linux, и гораздо реже поддерживается. В этом случае необходимо создать учетную запись пользователя с надежным шифрованием, но без шифрования других частей системы.
В настоящее время у меня есть (Mint) система Linux с одной учетной записью. Ни домашний каталог, ни система не зашифрованы, и я тоже не хочу их шифровать, так как это добавляет нежелательных хлопот к основному использованию системы. Я хотел бы, однако, как безопасную область для выполнения чувствительных операций, которая включает в себя защиту не только файлов данных, но также конфигурацию приложения и журналы, данные обычно хранятся автоматически в домашнем каталоге.
Кажется необходимым, чтобы я создал вторую учетную запись пользователя с зашифрованным домашним каталогом.
Обычный подход заключается в использовании инструмента ecryptfs-migrate-home , который поставляется со многими дистрибутивами на основе Debian и который шифрует домашний каталог по паролю пользователя, создавая новый экземпляр файловой системы ecrypt. Затем он настраивает систему для расшифровки каталога по паролю входа в систему, когда пользователь входит в систему. К сожалению, эта модель не кажется оптимальной для широкого спектра случаев, которые можно рассмотреть в текущем состоянии развития, когда ясно видеть конфликт между паролем пользователя, который быстро вводится и легко запоминается, по сравнению с надежным ключ должен быть защищен от возможностей быстрого и обильного оборудования, доступного злоумышленнику.
Исходя из этих соображений, я хотел бы, чтобы вторая учетная запись пользователя была доступна только тогда, когда доступен ключевой файл, через внешний носитель, такой как USB-накопитель.
Мне известно, что пользователи используют различные решения для шифрования каталогов, которые содержат конфиденциальные файлы данных. Однако, если весь домашний каталог не зашифрован, приложение может оставлять подсказки за пределами зашифрованной области, которые может использовать злоумышленник. Что крайне необходимо, так это песочница, которая гарантирует, что пользователь (у которого нет корневого доступа) не сможет записать какие-либо данные вне зашифрованного хранилища.
Простым примером будет, если пользователь должен иметь конфиденциальность в истории браузера. Запоминание использования частного сеанса просмотра может привести к ошибкам и означает, что закладки, файлы cookie и история не сохраняются между сеансами.
Может ли кто-нибудь предложить способ сделать весь каталог пользователя зашифрованным, чтобы доступ к нему был простым и понятным, если имеется USB-накопитель с ключом, но в противном случае он безопасен?